Default-Gateway Redundanz

Default-Gateway Redundanz Problematik: Da auf einem Host nur ein Default-GW angegeben werden kann, ist das Default-GW ohne adäquate Gegenmaßnahmen ein single-point-of-failure für alle Hosts innerhalb des LAN Segments. Fällt das Default-GW aus, können die Hosts entfernte Ziele nicht mehr erreichen. Daher ist es sinnvoll, Maßnahmen zu ergreifen, um diesen single-point-of-failure zu beseitigen. Generell existieren dazu 2 unterschiedliche Methoden: Dynamic Router Discovery Funktionalitäten auf Hosts, die es diesen ermöglichen das Default-GW aktiv zu ermitteln. Die unterschiedlichen Möglichkeiten für eine Dynamic Router Discovery haben jedoch alle ihre eigenen Nachteile und sind nicht empfehlenswert. Überblick: Methoden für die Dynamic Router Discovery Proxy ARP Routing Protocol IRDP ICMP Router Discovery Protocol (RFC 1256) Default Gateway Redundancy Features Funktionalitäten auf Router bzw. Multilayer Switches, die transparent für Hosts eine sofortige, verlustfreie Kommunikation über ein redundantes "standby" Default-GW ermöglichen, wenn das eigentliche Default-GW ausfällt. Grundsätzlich empfehlenswert zur Vermeidung der single-point-of-failure Default-GW Problematik. Überblick: Default Gateway Redundancy Features HSRP Hot Standby Routing Protocol (Cisco proprietär und RFC 2281) VRRP Virtual Router Redundancy Protocol (RFC 2338) GLBP Gateway Load Balancing Protocol (Cisco proprietär) 54 2004-2010 Ralf.Pohlmann@aptico.de

HSRP Hot Standby Routing Protocol Overview HSRP ist eine Cisco proprietäres Protokoll, das in Cisco Netzwerken weit verbreitet ist. Mittlerweile ist HSRP von der IETF jedoch auch als Standard übernommen: RFC 2281. Mit HSRP verwalten mehrere (i.d.r. zwei), redundante Router innerhalb eines gleichen logischen IP Netzwerks eine einzelne virtuelle IP Adresse (und eine passende virtuelle MAC Adresse), die das Default-GW für die Hosts innerhalb des Netzwerks repräsentiert. Alle HSRP Router gehören zu einer, mittels ID gekennzeichneten, HSRP standby group mit folgenden Einheiten (roles): es existiert genau ein active Router leitet Datenverkehr, die an die virtuelle IP Adresse gerichtet ist weiter es existiert genau ein standby Router ist der Backup-Router, der im Falle eines Ausfalls des active Routers die Rolle des active Router übernimmt, d.h. die Weiterleitung des Datenverkehrs übernimmt. es wird eine virtual Router bereitgestellt der virtual Router ist kein real existierender Router, sondern wird durch die virtual IP address und der virtual MAC address repräsentiert, und stellt so das einzige, "virtuelle" Default-GW für die Hosts dar. Die virtual IP adress wird adminstrativ festgelegt. Die virtual MAC address wird wie folgt gebildet: Beispiel: bei Verwendung der HSRP group ID von (dezimal) 42 Virtual MAC Address: 0000.0c07.ac2a 24 Bit OUI 0000.0c 16 Bit HSRP Well-Known Tag 07.ac 8 Bit HSRP group ID (42) 2a Ein active Router leitet Datenverkehr für den virtual Router weiter. zusätzliche HSRP member Router Router, die zur entsprechenden HSRP Gruppe gehören, aber weder active noch standby sind aber in diese HSRP states wechseln können, falls das entsprechende Gerät ausgefallen ist. Die HSRP priority (0-255, default: 100) eines Routers legt die role des Routers fest (s.o.), bei gleicher priority entscheidet die IP Adresse der Router. höchste HSRP priority (IP Adresse) active Router 55 2004-2010 Ralf.Pohlmann@aptico.de

Konfiguration HSRP Aktivierung von HSRP Angabe der group ID (1-255) und der virtual IP address im SubConfiguration Mode des IF. (config-if)# standby group-id ip virtual-ip-address Optional, aber empfehlenswert: Festlegung der HSRP Priorität (default: 100) zur Manipulation der Router roles (active, standby, member) höchste gewinnt. (config-if)# standby group-id priority priority Optional, aber empfehlenswert: HSRP Preempt Sollte ein ausgefallener, ehemalige active Router im Netzwerk wieder verfügbar werden, übernimmt er nicht automatisch wieder die Rolle des active Router (trotz höherer Priorität). Dieses Verhalten kann jedoch mit der Konfiguration von HSRP preemt geändert werden, d.h. es wird in jedem Fall der Router mit der höchsten Priorität zum active Router. (config-if)# standby [ group-id ] preempt [ delay [ minimum sec ] [ sync sec ]] Optional: Veränderung der HSRP Timer Werte Innerhalb von HSRP hellos werden die, lokal veränderten, Timer Werte an andere Router übertragen. Router, die Timer Werte empfangen, werden auf diese Weise davon in Kenntnis gesetzt, wann sie vom einem sendenden Router hellos erwarten bzw. wann sie ihn für "tot" erklären sollen. (config-if)# standby group-id timers hello-time hold-time Optional: HSRP Tracking Es kann u.u. nützlich sein, dass eine active Router seine acitve role verliert, wenn eine bestimmte Verbindung auf dem Router ausgefallen ist. Zum Beispiel wenn die ISP Verbindung des active Routers ausfällt (der standby Router aber noch über Konnektivität ins Internet verfügt), sollte dieser Router von den Hosts im LAN nicht mehr als Default-GW verwendet werden. Bei HSRP Tracking wird der Status eines IF überprüft. Wenn das IF in den Status "down" wechselt, wird die Priorität um den angegebenen Wert (oder default: 10) vermindert und die Sendung von HSRP hellos (für einen Zeitraum) eingestellt. (config-if)# standby group-id track if-type if-number [ priority ] Optional: HSRP unterstützt Authentication: plain text authentication oder md5 authentication. Konfiuguration der md5 authentication: (config-if)# standby group-id authentication md5 key-string key Troubleshooting # show standby # show standby brief # show standby if-type if-number # show standby delay # debug standby 56 2004-2010 Ralf.Pohlmann@aptico.de

MHSRP Multigroup HSRP: Load Sharing mit HSRP Die Default GW Adresse der Hosts eines einzelnen LAN oder VLAN zeigt auf die HSRP virtual IP address. Da immer nur der active HSRP Router die virtuelle IP Adresse verwaltet, kann auch immer nur ein Pfad (über den active router) aus dem Netzwerk führen obwohl eigentlich 2 Pfade bereitstehen. Um beide Pfade (über MLS0 und MLS1) zu verwenden, wenn Host aus dem LAN in remote Netzwerke kommunizieren kann MHSRP - Multigroup HSRP zwischen den zwei HRSP Routern verwendet werden. MHSRP bietet eine Art load sharing (oder load balancing). Bei MHSRP werden zwei Gruppen mit jeweils einer eigenen virtuellen IP für ein LAN konfiguriert es existieren also 2 virtuelle Gateways für ein LAN. Dann wird ein HSRP Router active router für die erste Gruppe und standby router für die zweite Gruppe. der andere HSRP Router wird (entgegengesetzt) standby router für die erste Gruppe und active router für die zweite Gruppe. Dann wird eine Hälfte der Hosts innnerhalb des LANs mit der virtuellen IP der ersten HSRP Gruppe konfiguriert und die zweite Hälfte der Hosts mit der virtuelle IP der zweiten HSRP Gruppe konfiguriert. Wenn ein HSRP Router ausfällt übernimmt der andere den Datenverkehr für beide virtuellen IP Adressen. Nachteil: Unterschiedliche nicht dynamische Gateway Konfiguration auf den Hosts ist notwendig für eine MHSRP innerhalb eines LAN/VLAN. Wenn mehrere VLANs verwendet werden, ist es empfehlenswert folgende Einstellungen für redundante Gateways (Multilayer Switch) durchzuführen Layer 2: für eine Hälfte der VLANs ist ein Multilayer Switch die Root Bridge, für die zweite Hälfte der andere Layer 3: für eine Hälfte der VLANs ist ein Multilayer Switch der active router, für die zweite Hälfte der andere. TIPPs: Pakete, die aus remote Netzwerken zurückkommen, können mgl. beide Pfade nehmen, d.h. die Pakete müssen nicht über den active Router zurück ins LAN kommen. Es können bis zu 255 HSRP Gruppen konfiguriert werden. 57 2004-2010 Ralf.Pohlmann@aptico.de

HSRP Konfigurationsbeispiel mit LoadSharing und Interface Tracking MLS0 interface Vlan1 ip address 192.168.1.250 255.255.255.0 standby 1 ip 192.168.1.1 standby 1 priority 110 standby 1 preempt standby 1 track FastEthernet1/0 20 standby 2 ip 192.168.1.2 standby 2 preempt standby 2 track FastEthernet1/0 MLS1 interface Vlan1 ip address 192.168.1.251 255.255.255.0 standby 1 ip 192.168.1.1 standby 1 preempt standby 1 track FastEthernet1/0 standby 2 ip 192.168.1.2 standby 2 priority 110 standby 2 preempt standby 2 track FastEthernet1/0 20 Erläuterung Load Sharing HSRP group 1 verwendet die virtuelle IP 192.168.1.1, HSRP group 2 verwendet die virtuelle IP 192.168.1.2. MLS0 ist active HSRP router für die HSRP group 1 (priority 110), MLS1 ist active router für group 2 (priority 110) load sharing. 2 Hosts (C1 und C2) verwenden die virtuelle GW Adresse 192.168.1.1, die anderen beiden Hosts (C3 und C4) verwenden die virtuelle GW Adresse 192.168.1.2. Preemption und Tracking für HSRP group 1 (auch für group 2 umgekehrt - aktiv) Wenn die Schnittstelle Fa 0/0 auf MLS0 ausfällt, wird die Priorität in Gruppe 1 um 20 vermindert (also 90) - interface tracking. Da MLS1 mit preempt konfiguriert wurde und nach Ausfall von Fa 0/0 auf MLS0, eine höhere Priorität in Gruppe 1 hat (100) als MLS0 (90), wird MLS1 in diesem Falle active router für die HSRP group 1. 58 2004-2010 Ralf.Pohlmann@aptico.de

VRRP Virtual Router Redundancy Protocol Overview VRRP ist ein offener Standard (RFC 2338). Wie bei Ciscos proprietärem HSRP, wird bei VRRP einen virtuellen Router (IP und MAC) aus einer Gruppe von redundaten Routen bereitgestellt. Unterschiede: Bei VRR existieren nur 3 Router Arten: master Router entspricht dem HSRP active Router backup Router entspricht HSRP standby und member Routern virtual Router entspricht HSRP virtual Router Virtual Router Addressing Die IP Adresse des virtuellen Routers kann (anders als bei HSRP) auch eine, von einem VRRP Router verwendete IP Adresse sein. In diesem Fall ist der Router auch automatisch master Router die Priorität wird auf 255 (max.) erhöht und kann nicht verändert werden.. z.b. durch Tracking adminstrativ festgelegt werden (wie bei HSRP). Wenn der Router master Router werden soll, so ist zusätzlich die höchste Priorität zu konfigurieren. Die virtual MAC address setzt sich wie folgt zusammen: 0000.5e00.01{VR-ID}. Beispiel: bei Verwendung d. VRRP group number (VRID) 42 wäre die MAC Adresse also: 0000.5e00.012a Timer Bezeichnungen und Werte advertisement-interval default: 1 sek. master-down-interval (immer) 3 x advertisement-interval Preemption ist (im Gegensatz zu HSRP) bei VRRP default aktiviert, kann aber mit no vrr preempt, deaktiviert werden Kommunikation Bei VRRP sendet nur der master router Nachrichten in das Netzwerk (IP Protocol 112, 224.0.0.18) 59 2004-2010 Ralf.Pohlmann@aptico.de

Konfiguration VRRP Aktivierung mit Angabe der VRID (VRRP Gruppennummer) und einer virtual Router IP. Es ist empfehlenswert nicht eine IP Adresses auf einem physikalischen Interface des Routers als virtuelle GW IP zu verwenden, da z.b. dann das Tracking nicht möglich ist. (config-if)# vrrp vrid ip virtual-router-ip Manuelle Festlegung der Priorität (default 100). (config-if)# vrrp vrid priority priority Preemption deaktivieren (default aktiv) weniger empfehlenswert. (config-if)# no vrrp vrid preempt Änderung der Timer-Werte bzw. nur Änderund des advertisement-intervals möglich. Das master-down-interval ist immer 3mal das advertisement-interval. (config-if)# vrrp group timers advertise [msec] interval Tracking Objekte (Schnittstellen) die überwacht werden sollen, werden im GlobalConfiguration Mode mit der Objektnummer definiert. (config)# track object-nr interface if-type if-nr [ line-protocol ip routing ] Die Tracking Objectnummer wird dann im SubConfiguration Mode der entsprechenden Schnittstelle referenziert. (config-if)# vrrp vrid track track-object-nr [ decrement priority ] Authentication VRRP unterstützt: no, plain text und md5 authentication (config-if)# vrrp vrid authentication md5 key-string key Troubleshooting # show vrrp # show vrrp brief # show vrrp interface if-type if-nr 60 2004-2010 Ralf.Pohlmann@aptico.de

VRRP Konfigurationsbeispiel.. gleiche Topologie und nahezu gleiche Funktionalität wie das HSRP Konfigurationsbeispiel. MLS0 track 11 interface FastEthernet1/0 ip routing interface Vlan1 ip address 192.168.1.250 255.255.255.0 vrrp 1 ip 192.168.1.1 vrrp 1 priority 110 vrrp 1 track 11 decrement 20 vrrp 2 ip 192.168.1.2 vrrp 2 track 11 MLS1 track 12 interface FastEthernet1/0 ip routing interface Vlan1 ip address 192.168.1.251 255.255.255.0 vrrp 1 ip 192.168.1.1 vrrp 1 track 12 vrrp 2 ip 192.168.1.2 vrrp 2 priority 110 vrrp 2 track 12 decrement 20 Besonderheiten der Konfiguration: Im Gegensatz zu HSRP ist Preemption default aktiv und muss nicht adminstrativ konfiguriert werden. Das Tracking der Schnittstelle Fa 1/0 mittels ip routing bewirkt eine Reduzierung der Priorität bereits dann, wenn die Layer 3 Routing Funktionalität auf der Schnittstelle nicht aktiv ist z.b wenn die Schnittstelle keine gültige IP Adresse besitzt. 61 2004-2010 Ralf.Pohlmann@aptico.de

GLBP Gateway Load Balancing Protocol Overview Ein Nachteil von HSRP oder VRRP ist, das immer nur genau ein Router als Default-GW verwendet wird obwohl redundante Pfade vorhanden sind. Eine Art Load Sharing für HSRP bzw. VRRP ist zwar mit multiplen Gruppen mögliche, aber erfordert zusätzlichen adminstrativen Aufwand bei der Konfiguration der Router und der Hosts im LAN (unterschiedliche Default-GW Adressen). GLBP ist ein proprietäres Cisco Protokoll, das Lastverteilung zwischen unterschiedlichen möglichen Default-GWs im Netzwerk implementiert Arbeitsweise GLBP Eine GLBP group kann aus maximal 4 Routern bestehen, die als Default-Gateway arbeiten: sogenannte AVFs active virtual forwarders. GLBP verwaltet alle notwendigen Funktionen innerhalb der GLBP Gruppe, durch den "master" Router der Gruppe: AVG - active virtual gateway - der natürlich auch eine AVF ist. Das AVG regelt z.b. die virtuelle MAC Adressierung (in ARP Response) und somit die (default) Lastverteilung (round robin) zwischen den AVFs. Wenn ein Host eine ARP Anfrage für die virtual IP stellt.... anwortet (nur) der AVG mit einer MAC Adresse, die er aus seinem aktuellen loadbalancing algorithm ermittelt. Wenn ein zweiter Host eine ARP Anfrage stellt.... bekommt er vom AVG eine andere MAC Adresse mitgeteilt. Von GLBP unterstützte load-balancing algorithm Round-robin load-balancing algorithm (default) nach ARP: jeder ARP Request wird mit einer anderen MAC Adresse beantwortet Weighted load-balancing algorithm nach Last: der Datenverkehr wird nach Auslastung der AVFs verteilt Host-dependent load-balancing algorithm nach Host: der Datenverkehr wird host-basiert verteilt Bestimmung des AVG (priority) Bei GLBP ist preemption default aktiv. Wenn der AVG ausfällt, wird der AVF mit der nächsten, höchsten priority zum AVG. Wird der vormals ausgefallenen AVG wieder aktiv, übernimmt er nur dann wieder die Rolle des AVG, wenn priority preemption (default: deaktiviert) konfiguriert wurde. Wenn eine AVF innerhalb der GLBP group ausfällt, wird der Datenverkehr auf die übrigen members der GLBP group aufgeteilt ist er wieder verfügbar, wird er wieder zum AVF. Tracking Bestimmung der AVF Funktionalität (weight) Einem AVF kann neben der Priorität - noch eine Gewichtung (maximum weight) für die Tracking Funktion zugeordnet werden. Der voreingestellte maximum weight Wert kann bei Ausfall einer Schnittstelle automatisch reduziert werden (default weight decrement: 10) Wenn ein AVF einen konfigurierten lower weight Wert unterschreitet, verliert er die Funktion als AVF wenn er einen konfigurierten upper weight Wert überschreitet wird er automatisch (defaut: weight preemption aktiv) wieder zum AVF. 62 2004-2010 Ralf.Pohlmann@aptico.de

Konfiguration GLBP Aktivierung von GLBP und Festlegung der virtuellen Gateway IP Adresse. (config-if)# glbp glbp-id ip virtual-gateway-ip Manuelle Konfiguration der Prioriät (default 100) (config-if)# glbp glbp-id priority priority Preemption ist bei VRRP für 2 unterschiedlichen Funktionen möglich: AVG priority preemption default: deaktiviert (config-if)# glbp glbp-id preempt AVF priority (weight) preemption default: aktiv (config-if)# glbp glbp-id forwarder preempt Einstellung des Load Balancing Verfahrens (config-if)# glbp glbp-id load-balancing \ [ host-dependent round-robin weighted] Optional: Manipulation der Timer (config-if)# glbp glpb-id timers [ msec ] hello-time [ msec ] hold-time GLBP unterstützt ebenfalls das Tracking von Interfaces: zur Bestimmung ob eine Router AVF für eine Gruppe ist oder diese Funktion verliert. anstelle der Priorität (regelt ob ein Router AVG wird) wird eine Gewichtung (weight) verwendet. (config)# track object-nr interface if-type if-nr [ line-protocol ip routing ] Dann wird im SubConfiguration Mode des Interface ein maximum weight Wert festgelegt (der intitiale Wert: default 100) und ein lower und upper weight Wert. Wird der lower weight Wert unterschritten verliert der Router den Status als AVF, wird der upper weight Wert wieder erreicht, wird er wieder zum AVF. (config-if)# glbp glbp-id weighting maximum [ lower lower ] [ upper upper ] Zuletzt wird die Tracking Objectnummer referenziert. (config-if)# glbp glbp-id weighting track object-nr [ decrement value ] Authentication VRRP unterstützt: no, plain text und md5 authentication (config-if)# glbp glbp-id authentication md5 key-string key Troubleshooting # show glbp # show glbp brief # show glbp interface if-type if-number 63 2004-2010 Ralf.Pohlmann@aptico.de

Konfigurationsbeispiel GLBP R5 (AVG, AVF) MLS0 (backup AVG, AVF) MLS1 (AVF) track 1 interface Serial1/0 ip routing interface FastEthernet0/0 ip address 192.168.1.252 255.255.255.0 duplex full glbp 1 ip 192.168.1.1 glbp 1 priority 120 glbp 1 preempt glbp 1 weighting 110 lower 95 upper 105 glbp 1 authentication md5 key-string geheim glbp 1 weighting track 1 decrement 20 track 1 interface FastEthernet1/0 ip routing interface Vlan1 ip address 192.168.1.250 255.255.255.0 duplex full glbp 1 ip 192.168.1.1 glbp 1 priority 110 glbp 1 preempt glbp 1 weighting 110 lower 95 upper 105 glbp 1 authentication md5 key-string geheim glbp 1 weighting track 1 decrement 20 track 1 interface FastEthernet1/0 ip routing interface Vlan1 ip address 192.168.1.251 255.255.255.0 duplex full glbp 1 ip 192.168.1.1 glbp 1 weighting 110 lower 95 upper 105 glbp 1 authentication md5 key-string geheim glbp 1 weighting track 1 decrement 20 Besonderheiten der Konfiguration: Fällt R5 aus, wird MLS0 zum AVG (priority 110) ist R5 wieder verfügbar übernimmt er wieder die Rolle des AVG (glbp 1 preempt). Fallt auf einem der Geräte das überwachte IF aus, reduziert sich die forwarder priority (weight) um 20 auf 90 (110 20 = 90). Da 90 kleiner ist als der lower weight (95) ist er nicht mehr aktiver AVF. Wenn die Schnittstelle wieder "up" ist wird er automatisch wieder aktiver AVF (AVF weight preemption ist default aktiv), da der weight Wert dann wieder 110 beträgt und somit größer als der upper weight Wert (105) ist. HINWEIS: Fällt das überwachte IF auf dem AVG (R5) aus, bleibt R5 der AVG, aber ist kein aktiver AVF mehr. 64 2004-2010 Ralf.Pohlmann@aptico.de

Überblick: Eigenschaften HSRP, VRRP, GLBP Protokoll HSRP VRRP GLBP Cisco.. und RFC 2281 Kommunikation 224.0.0.2 UDP 1985 Router actice router standby router RFC 2338 224.0.0.18 IP 112 master router backup router virtual router Cisco 224.0.0.102 UDP 3222 AVG active virtual router AVF active virtual forwarder default Priorität 100 100 AVG priority: 100 AVF weight: 100 max. Priorität 255 255 AVG priority: 255 AVF weight: 255 Timer Preemption Tracking Authentication Load Sharing/ Load Balancing Hello: 3 Sekunden Holddown: 10 Sekunden default: deaktiviert Möglich für Priorität: default decrement 10 no auth plain text md5 advertisement-interval: 1 Sekunde master-down-time: 3 * advertisement-interval default: aktiviert Möglich für Priorität: default decrement 10 no auth plain text md5 Hello: 3 Sekunden Holddown: 10 Sekunden AVG priority: default deaktiviert AVF weight: default aktiviert Möglich für weight (AVF): default decrement 10 no auth plain text md5 multiple goups multiple groups default: round robin per ARP Req. optional: weighted per Load optional: host-dependend per Host 65 2004-2010 Ralf.Pohlmann@aptico.de